Votre HTTPS est-il vraiment bien configuré ?
Le cadenas ne dit pas tout. Vérifiez le certificat, son expiration, la version de TLS, la redirection depuis HTTP et HSTS, ainsi que le contenu non sécurisé qui casse discrètement le cadenas.
Ce que nous vérifions
- Si le site se charge bien en HTTPS, et si
http://redirige vershttps://. - La validité du certificat et le nombre de jours avant son expiration.
- Les versions obsolètes de TLS (TLS 1.0 et 1.1 sont dépréciés par la RFC 8996).
- La présence de HSTS et son max-age.
- Le contenu mixte : scripts, images ou styles encore chargés en HTTP non chiffré.
Des certificats de plus en plus courts
Les certificats TLS publics passent à des durées de vie bien plus courtes, ce qui rend le renouvellement automatique indispensable. Si vous utilisez Let’s Encrypt avec certbot, testez le renouvellement dès maintenant :
sudo certbot renew --dry-runLes correctifs pour les redirections et le contenu mixte figurent dans le guide HTTPS.
Besoin d’un audit TLS plus poussé ?
Les propriétaires vérifiés bénéficient d’un examen complet des protocoles et des suites de chiffrement dans l’analyse approfondie. Pour un examen ponctuel de TLS seul, Qualys SSL Labs est l’outil de référence, et nous le recommandons.
Questions fréquentes
Comment savoir quand mon certificat SSL expire ?
Lancez l’analyse gratuite : elle affiche le nombre de jours restants et signale les certificats proches de l’expiration. Un compte gratuit revérifie chaque mois.
Pourquoi le cadenas n’apparaît-il pas alors que j’ai un certificat ?
Le plus souvent à cause du contenu mixte : un élément de la page, souvent une image ou un script, se charge encore en http://. L’analyse le liste pour que vous corrigiez l’URL.
Dois-je activer HSTS ?
Oui, dès que toutes les pages et tous les sous-domaines que vous utilisez fonctionnent en HTTPS. Commencez avec un max-age court, puis passez à un an une fois sûr de vous.
Guides avec correctifs à copier-coller
HTTPS et contenu mixte
Forcez HTTPS avec une seule redirection 301, corrigez les avertissements de contenu mixte, évitez les boucles de redirection Cloudflare et mettez à jour les anciens liens http:// dans WordPress avec WP-CLI.
GuideHSTS
Ce que fait HSTS, pourquoi commencer par un max-age court, quand utiliser includeSubDomains et preload, avec des lignes à copier-coller pour nginx, Apache et Cloudflare.
GuideEn-têtes de sécurité
En-têtes de sécurité HTTP à copier-coller pour nginx, Apache (.htaccess), Cloudflare et WordPress : HSTS, X-Content-Type-Options, protection contre l’encadrement, Referrer-Policy et Permissions-Policy.
GuideVérifier votre certificat SSL
Vérifiez votre configuration SSL/TLS en six étapes : chaîne de confiance, noms correspondants, expiration et renouvellement automatique, TLS 1.2/1.3 uniquement, redirection HTTP vers HTTPS et HSTS. Commandes et configuration pour nginx et Apache.
Autres tests gratuits
Découvrez votre note avant quelqu’un d’autre.
Gratuit pour commencer. Offres payantes dès 12 $ par mois, ou un rapport unique à 29 $. Voir les tarifs